Capítulo 20 — Governança, riscos e compliance de segurança: contexto de engenharia

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Três disciplinas relacionadas"]
  N1["20.2 Lugar na organização"]
  N2["20.3 Obrigações"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Três disciplinas relacionadas"]
  N1["20.2 Lugar na organização"]
  N2["20.3 Obrigações"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX058"]

[20.1 Três disciplinas relacionadas]
    |
    v
[20.2 Lugar na organização]
    |
    v
[20.3 Obrigações]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) definir governança, gestão de riscos e compliance e como se relacionam; (2) situá-las na organização da Ardwell; (3) identificar as obrigações que moldam o programa.

20.1 Três disciplinas relacionadas

Nadia começa agora as disciplinas centrais de GRC. A governança define direção, responsabilização e supervisão: quem decide, qual é o apetite a riscos e como o desempenho é monitorado. A gestão de riscos identifica, analisa, avalia e trata os riscos, seguindo um processo como o descrito na ISO 31000:2018, adotada no Brasil como ABNT NBR ISO 31000:2018. O compliance garante que a organização cumpra as obrigações vindas de leis, regulamentos, contratos e normas adotadas. As três se sobrepõem, mas diferem. O COBIT 2019 separa a governança, que avalia, direciona e monitora, da gestão, que planeja, constrói, executa e monitora. Na Ardwell, a revisão trimestral dos relatórios pelo conselho é governança no sentido do COBIT; a gestora de segurança que conduz o processo de riscos faz gestão.

20.2 Lugar na organização

Na Ardwell, o conselho aprova o apetite a riscos e recebe relatórios trimestrais. Uma gestora de segurança da informação conduz o processo de riscos e se reporta ao diretor de operações. As obrigações de compliance ficam com uma responsável jurídica e de compliance, enquanto a auditoria interna dá garantia independente ao comitê de auditoria do conselho. Nadia desenha essas relações e observa que linhas de reporte claras evitam conflitos de interesse, como a pessoa que opera os controles também julgar se eles funcionam, o que enfraqueceria a garantia. É o reporte da auditoria interna ao comitê de auditoria, e não ao diretor de operações, que mantém sua garantia independente.

20.3 Obrigações

Nadia lista as obrigações da Ardwell. Os pagamentos com cartão trazem o PCI DSS v4.0, por meio dos contratos com o banco. Os dados pessoais dos clientes trazem a legislação de proteção de dados. Como distribuidora de energia, a Ardwell enfrenta regras setoriais de resiliência e de comunicação de incidentes. O conselho também escolheu se alinhar à ISO/IEC 27001:2022 e usar o NIST CSF 2.0 nos relatórios. Ela separa as obrigações compulsórias das escolhas voluntárias, porque as penalidades e a flexibilidade diferem, e registra a fonte e o responsável de cada uma num registro de obrigações. Como o PCI DSS v4.0 chega pelo contrato com o banco, seu responsável precisa ser alguém que administre essa relação contratual.

Exemplo resolvido

Nadia define governança, gestão de riscos e compliance, mapeia as linhas de reporte da Ardwell e monta um registro de obrigações.

Caso sintético. A estrutura da Ardwell é sintética; a ISO 31000:2018 (ABNT NBR ISO 31000:2018), o COBIT 2019, o PCI DSS v4.0 e o CSF 2.0 são reais.

Erros e limites

As obrigações legais precisam de revisão jurídica. Os papéis variam entre organizações.

Exercícios

• EX058 — Papel da governança. O que a governança define?
  Mostrar critérios de avaliação

  Rubrica: 3 = direção, responsabilização e supervisão;; 2 = direção;; 1 = vago;; 0 = nenhuma.
• EX059 — Independência. Por que quem opera os controles não deve julgar se eles funcionam?
  Mostrar critérios de avaliação

  Rubrica: 3 = cria um conflito de interesses que enfraquece a garantia;; 2 = independência;; 1 = vago;; 0 = nenhuma.
• EX060 — Compulsório ou voluntário. O alinhamento da Ardwell à ISO/IEC 27001:2022 é compulsório?
  Mostrar critérios de avaliação

  Rubrica: 3 = não, é uma escolha do conselho;; 2 = voluntário;; 1 = compulsório;; 0 = nenhuma.

Síntese

Governança, gestão de riscos e compliance são disciplinas distintas, unidas por papéis e obrigações claros.